공개 및 개인 데이터. Avito의 '데이터 유출' 사례 분석

600주 전 포럼에서 Avito 및 Yula 서비스 고객 XNUMX만 명에 대한 데이터베이스가 발견되었으며 그중에는 실제 주소와 전화번호도 포함되어 있습니다. 데이터베이스는 여전히 무료로 사용할 수 있으며 누구나 다운로드할 수 있습니다. 얼마나 많은 사람들이 스팸을 보내거나 심지어 사용자 지불 카드 데이터를 유인하려는 의도로 이미 데이터베이스를 다운로드했는지 상상해 보십시오. 포럼 관리는 데이터베이스를 삭제하지 않습니다. 그들은 이 상황에서 어떤 문제도 발견하지 못했고 위반은커녕 이것이 개인 데이터 도용이 아니라 공개 데이터 수집이라고 말합니다.

데이터 유출에 대한 뉴스는 더 이상 누구도 놀라지 않을 것입니다.

2020년 XNUMX월과 XNUMX월은 TikTok이 무단 데이터 수집으로 인해 차단되었다는 소식으로 가득 차 있었습니다. 그리고 내 임무는 놀라게 하는 것이 아니라 문제를 이해하고 Habr의 독자 중 한 명에게 한 약속을 지키는 것입니다. 그건 그렇고, 제 이름은 Vyacheslav Ustimenko이고 국제 법률 회사 Icon Partners의 IT 변호사인 Bella Farzalieva와 함께 기사를 썼습니다.

왜 중요한가?

개인 데이터의 보호 및 처리 문제는 매년 탄력을 받고 있습니다. 개인정보 보호는 개인의 선택의 자유, 사회 문화 및 민주주의에 관한 것입니다. 독립적인 사람은 관리하기 어렵고 속이기 어렵고 모방이 불가능합니다. 이 아이디어는 EU(GDPR)와 미국(CCPA)의 잘 알려진 데이터 보호 규정에 의해 전달됩니다. 개인적으로 인스타그램 계정 설문 조사를 실시한 결과 심지어 변호사(내 구독자의 90%)조차도 데이터 보호 문제에 대해 아직 잘 모르고 있습니다.

질문은 : “다음 중 개인정보는 무엇입니까?”
설문조사 결과 스크린샷을 첨부합니다.

약 20%의 유권자가 정답을 선택했습니다.

추신: 제가 우크라이나 출신이라는 사실과 러시아 연방 법률에 관한 기사가 독자 여러분을 혼란스럽게 해서는 안 됩니다. IT 변호사의 전문성은 한 국가에만 국한될 수 없기 때문입니다.

러시아 연방의 개인 데이터란 무엇입니까?

연방법에 따른 개인 데이터의 정의는 유럽이나 우크라이나의 정의와 크게 다르지 않습니다. 이전 글에 썼던.

개인 데이터 - 식별되었거나 식별 가능한 자연인과 직간접적으로 관련된 모든 정보로, 개인을 식별할 수 있는 모든 데이터를 의미합니다.

러시아에서는 개인 데이터의 사용 및 보호가 많은 문서, 특히 152-FZ "개인 데이터에 관한", 149-FZ "정보, 정보 기술 및 정보 보호에 관한", 행정 범죄법, 형사법에 의해 규제됩니다. 러시아 연방 법, 러시아 연방 노동법 및 러시아 연방 민법.

개인 데이터를 엽니다. 이것은 어떤 종류의 동물입니까?

#이용자의 눈으로 상황을 살펴보자

아마도 독자들은 개인 데이터가 어떻게 공개될 수 있는지에 대해 아직 생각하지 않았을 것입니다. 개인적인 소리는 개인적인 것처럼 들리고 공개적인 소리는 공개적인 것처럼 들리기 때문입니다.

동시에, 전화 판매원과 다시 대화를 나눈 후 우리 각자는 "그가 내 번호를 어디서 얻었는지"또는 "나에 대해 더 많이 아는 낯선 사람에게서 온이 이상한 전화는 무엇입니까?"라고 생각한다는 자신감이 나를 떠나지 않습니다. 필요 이상으로요.”

따라서 Avito를 통해 무언가를 판매하는 사용자는 해커 데이터베이스에 들어가거나 스팸 이메일을 받거나 사기꾼이나 "냉담 판매자"로부터 이해할 수 없는 전화를 받았다는 사실에 놀라지 마십시오.

법을 모른다고 해서 책임이 면제되는 것은 아니기 때문에 그러한 상황에서는 자신을 비난할 수밖에 없습니다.

이용자 자신이 공개적 고려를 위해, 즉 인터넷 상에 자신에 대해 게시한 모든 것은 공개적으로 이용 가능한, 즉 공개 데이터가 되어 이용자의 동의 없이 저장, 배포, 사용될 수 있습니다.

입법 확인
제1조의 152.2부. 러시아 연방 민법.

법에 의해 달리 명시되지 않는 한, 개인의 사생활에 관한 정보, 특히 출신지, 체류지 또는 거주지, 개인 및 가족 생활에 관한 정보의 수집, 저장, 배포 및 사용은 시민의 동의 없이 허용되지 않습니다. .

국가, 공공 또는 기타 공익을 위해 시민의 사생활에 관한 정보를 수집, 저장, 배포 및 사용하는 것뿐만 아니라 시민의 사생활에 관한 정보가 이전에 공개되었거나 스스로 공개된 경우, 시민 또는 그의 의지에 따라 이 단락의 첫 번째 단락에 의해 설정된 규칙을 위반하지 않습니다.

또 다른 확인
러시아 연방법 No. 4-FZ "정보, 정보 기술 및 정보 보호에 관한" 제7조 149항.

재사용을 위해 소유자가 사전 인간 변경 없이 자동화된 처리를 허용하는 형식으로 인터넷에 게시한 정보는 공개 데이터 형식으로 게시된 공개적으로 사용 가능한 정보입니다.

#결론

Avito 행정부는 해커 포럼의 데이터베이스가 전적으로 해당 웹 사이트에서 사용할 수 있는 공개 정보로 구성되어 있으며 구문 분석(특수 프로그램을 사용하여 정보 자동 수집)을 통해 수집할 수 있다고 정당하게 주장합니다. 즉, 데이터 유출에 대한 이야기는 없습니다. 데이터가 법적 목적으로 사용되는지 여부는 Avito에 절대 물어봐서는 안 되는 또 다른 질문입니다.

다른 사람이 귀하의 소비자 프로필을 편집, 평가 또는 사용하는 것을 원하지 않는다면 공개 리소스에 귀하에 대한 정보를 적게 남겨두십시오.

다음은 포럼의 재미있는(정확하지는 않은) 댓글입니다.

#비즈니스의 눈으로 상황을 보자
동일한 Avito를 예로 들어 질문을 고려해 보겠습니다.

• 해당 사이트는 개인 데이터 운영자이며,
• 그는 데이터 처리에 대한 동의를 얻고 Roskomnadzor에 자신이 운영자 등록부에 포함되도록 선언해야 합니까?
• Avito는 정말 처벌을 받지 않을 수 있을까요?

데이터 유출 상황에서 Avito는 실제로 이와 관련이 없습니다. Avito는 사용자가 "차고 판매"라고 쓰고 자신의 이름, 전화번호 또는 기타 통신 데이터를 표시한 다음 왜 울타리를 지나가는 모든 사람이 해당 데이터를 알고, 복사하거나 사용하는지에 대해 분개하기 시작한 울타리라고 상상할 수 있습니다. .

입법 확인
법률 No. 10-FZ 제152조.

회사 또는 개인 데이터 처리에 대해 고객의 서면 동의를 받은 사람은 공개적으로 이용 가능한 개인 데이터의 운영자가 되지만, 법률은 공개적으로 이용 가능한 개인 데이터, 더 간단히 말하면 공개 데이터의 보호를 위해 다른 범주에 비해 최소한의 요구 사항을 부과합니다.

또 다른 확인
4항 2부 22조 "개인 데이터".

운영자는 개인정보 주체의 권리 보호를 위해 권한 있는 기관에 통보하지 않고 개인정보 주체가 공개적으로 제공한 개인정보를 처리할 권리가 있습니다.

#결론

Avito는 개인 데이터의 운영자입니다. Roskomnadzor 알림의 경우 법률에 예외가 있지만 Avito에는 적용되지 않습니다. 이 사이트는 공개적으로 사용 가능한 데이터뿐만 아니라 수집하고 처리하기 때문입니다. 그러나 사이트가 공개 데이터로만 작동하는 경우 Roskomnadzor에 알리거나 등록할 필요가 없습니다. Avito는 결백하므로 처벌이 없습니다.

데이터는 거래 플랫폼뿐만 아니라 모든 웹사이트, 이동통신사, 소셜 네트워크, 은행, 등록 기관에서 유출되거나 합법적으로 획득될 수 있으며, 은행 카드의 모바일 거래 시퀀스에서 추출되거나 숨겨진 기능을 사용하여 데이터가 추출될 수 있습니다. 스마트폰 애플리케이션에는 백만 가지 옵션이 있습니다.

그건 그렇고, Habr이 포럼이 아니지만 논평의 가능성이 있다는 것을 모두가 알고 있으며 기사의 목적은 놀라움이 아니라 문제를 이해하는 것입니다.

문제

2020년의 현실에서는 개인 데이터를 인터넷에 게시할 때 조심해야 하며 위의 재미있는 댓글처럼 행동하거나 새로운 법안을 도입해야 합니다. 아니면 새로운 시대가 막 도래했으며 일반 가용성을 받아들일 가치가 있을 수도 있습니다. 오픈 데이터?

출처 : habr.com